Pimcore v2026.3.0: Sicherheitskorrekturen und technische Optimierungen für die Open-Source-Version

Pimcore v2026.3.0 wurde am 29. September 2026 veröffentlicht. Die Version enthält eine breite Reihe von Änderungen in der Open-Source-Ausgabe. Dazu gehören Sicherheitskorrekturen, Anpassungen an der Datenverarbeitung, Verbesserungen bei Assets und Thumbnails sowie Änderungen an internen Abläufen. Der Schwerpunkt des Releases liegt auf konkreten Korrekturen und technischen Verbesserungen, die sich auf den Betrieb bestehender Pimcore-Installationen auswirken können.

Ein größerer Teil der Veröffentlichung betrifft Sicherheitskorrekturen. Behoben wurden unter anderem mehrere mögliche Schwachstellen im Zusammenhang mit SQL- und DDL-Injection, gespeicherten Cross-Site-Scripting-Szenarien sowie WebDAV-Zugriffen auf Assets. WebDAV-Asset-Operationen erfordern nun durchgehend eine Authentifizierung. Zudem wurden Prüfungen bei der Wiederherstellung aus dem Papierkorb ergänzt, geplante Aufgaben von nicht mehr vorhandenen Benutzern deaktiviert und ein mögliches Cache-Poisoning im Static Page Generator korrigiert. Weitere Änderungen betreffen offene Weiterleitungen, Admin-Zugriffe im Zusammenhang mit Site-Isolation sowie die Behandlung bestimmter Controller-Referenzen beim Rendern editierbarer Inhalte.

Auch bei Performance und Datenbankzugriffen enthält v2026.3.0 mehrere Anpassungen. Berechtigungsprüfungen für Elemente werden nun innerhalb einer Anfrage zwischengespeichert. Abfragen für Kinder-Elemente wurden so angepasst, dass sie von Datenbanken effizienter verarbeitet werden können. Beim Speichern lokalisierter Felder werden unnötige Primärschlüsselabfragen pro Sprache vermieden. Zusätzlich wird bei deaktivierter Vererbung nicht mehr auf lokalisierte Query-Tabellen zugegriffen. Die Ermittlung der neuesten Version wurde beschleunigt, indem eine überflüssige Abfrage entfällt. Klassendefinitionen werden zwischengespeichert, um Fehler durch zu viele gleichzeitig geöffnete Dateien zu vermeiden.

Im Bereich Assets wurden mehrere Änderungen vorgenommen. Die Laufzeit des Caches für die Auslieferung von Thumbnails ist nun konfigurierbar. Bei der Thumbnail-Auslieferung wurde außerdem eine vorherige Dateiprüfung entfernt, und Dateizugriffe werden vermieden, wenn Bildabmessungen zuverlässig berechnet werden können. Für die Erkennung von MIME-Typen kann nun je Dateiendung eine eigene Zuordnung festgelegt werden. Außerdem wurden Argumente für das Speichern von Asset-Versionen ergänzt. Ein Fehler bei „Search and Replace Assignments“, bei dem Bilder nicht korrekt funktionierten, wurde ebenfalls korrigiert.

Weitere Änderungen betreffen Workflows, Datenobjekte und Schnittstellen im Kernsystem. Workflow-Places, Transitions und globale Aktionen verfügen nun über einen generischen Bereich für eigene Erweiterungen. Für Notizen wurde ein Ereignis nach dem Löschen ergänzt. Bei berechneten Werten können nun Argumente an den Calculator übergeben werden. Verwaiste Tabellen von Object Bricks und Fieldcollections werden im Rahmen der Wartung entfernt. Zudem wurden ältere Admin-Controller entfernt, die durch die Studio API ersetzt wurden. Ergänzt wurden außerdem neue Vertragsstrukturen im Bereich PimcoreAgent sowie serverseitige Telemetrie-Funktionen, die verschiedene Nutzungs- und Systemkennzahlen erfassen.

Neben diesen Änderungen enthält v2026.3.0 auch Anpassungen an Entwicklungs- und Projektprozessen. Dazu zählen aktualisierte Abhängigkeiten, Änderungen an Prüf- und Build-Abläufen, Ergänzungen für Symfony-8-Kompatibilitätsprüfungen sowie Korrekturen in Dokumentation und Projektvorlagen. Die vollständige Änderungsliste umfasst darüber hinaus zahlreiche interne Bereinigungen, Synchronisierungen und kleinere Korrekturen, die den Kern der Open-Source-Version betreffen.